需要緊急“叫停”的11 個網絡安全流行語

網絡安全流行詞和流行短語多不勝數。為了簡化復雜的專業術語或推動營銷，流行語是信息安全等創新和快節奏行業不可避免的現實問題。

不過，這些術語并非總是有效的，相反地，它們可能會不準確、過時、誤導甚至造成潛在傷害。例如，利用恐懼、不確定性和懷疑(FUD)來最大化盈利的流行語可能具有潛在破壞性；而繼續使用和依賴一個過時的(合理且曾有效過)流行語，可能會阻礙人們對根本問題的更深入理解。

以下是2021年應該緊急“叫停”的11個網絡安全流行詞和短語：

• 勒索軟件；
• 零信任；
• 白名單和黑名單；
• 人工智能驅動的安全；
• 網絡9/11；
• 數字化轉型；
• 安全信息與事件管理(SIEM)；
• 人是最薄弱的環節；
• 網絡安全意識；
• 網絡殺傷鏈；
• 黑客

 1. 勒索軟件

Orange Cyberdefense安全研究主管Charl van der Walt表示，盡管勒索軟件是圍繞常見網絡攻擊的討論中最常用的術語之一，但從技術上講，它是一個不合適的定義，已經不再適用。他表示，

“在當前的新聞議程中中，很難避免提及‘勒索軟件’這一術語，但實際上，它并不能涵蓋這一問題所具備的復雜且不斷發展變化的特性。”

勒索軟件的真正含義正在逐漸消失，現在它被用來定義比其真正定義(持有計算機數據以索要贖金的惡意軟件)范圍更廣的網絡攻擊集。它與進行加密的惡意軟件、勒索軟件參與者使用的一般惡意軟件，以及勒索軟件參與者本身形成了混淆。

隨著這種威脅的演變，van der Walt提出了一個新術語：網絡勒索(或Cy-X)。他認為，這個詞更好地概括了這一犯罪浪潮的歷史、當前形式和潛在的發展趨勢，還可以區分勒索犯罪本身和用于執行該犯罪行為所用的工具。

 2. 零信任

零信任描述了一種“默認不信任”的方法來保護用戶和設備。它已經成為過去幾年最大的營銷熱詞之一，而隨著大規模遠程工作遷移，以及未來對更有效的遠程網絡訪問安全方法的需求不斷激增，這種情況還會日益加劇。

然而，對于佳能歐洲信息安全總監Quentyn Taylor來說，零信任這個詞太過模糊。他表示，

“人們無法判斷自己是否已經實現零信任，事實上，我不相信有人已經真正實現了零信任。這個概念讓我非常惱火的原因是，很多人把它當作一個新概念在談論，而實際上，我們早在很多年前就一直在談論‘無邊界化’——零信任不過是一個新營銷術語，用來描述我們早已嘗試多年的一種方法。”

Qualys公司首席技術安全官Paul Baird對此表示贊同，并補充道，零信任是一個好的概念，但作為一個流行詞，它被過度營銷了。它經常被斷章取義地使用，這對負責實施它的人而言非常容易造成混亂。事實上，零信任是一種涵蓋人員、流程和技術的意識形態。它并不是您可以直接從貨架上購買的產品。

 3. 白名單和黑名單

“白名單”和“黑名單”的術語可以追溯到網絡安全早期階段。將“白色”與良好、安全或允許相關聯，將“黑色”與壞、危險或禁止相關聯。時至如今，這些短語仍被廣泛應用于允許或拒絕與各種元素(包括密碼、應用程序和控制)相關的使用或訪問活動中。

網絡安全顧問Harman Singh認為，這些術語需要緊急更換，因為它們帶有種族色彩，建議使用“允許列表”和“拒絕列表”來表達相同的目的，如此便不會觸及與種族和人種相關的潛在含義。他表示，

“這是一個微小但意義重大的改變。英國國家網絡安全中心（NCSC）去年便有意識地做出了這種改變，以避免引發種族歧視問題。如今，業內仍然只有少數公司考慮過替換掉這兩個詞。為什么我們不都效仿NCSC來消除此類術語呢？”

在一篇博客文章中，NCSC建議與指南主任Emma W寫道：

“你可能不明白這件事為什么如此重要。如果您自己沒有受到種族成見的負面影響，那么只能說你很幸運。但對您的某些同事(以及潛在的未來同事_而言，可能就沒那么幸運了，所以，這確實是一項值得做出的改變。”

采取這一步驟的少數公司之一就是微軟，其將非包容性語言視為維護和發展網絡安全多樣性的障礙。微軟首席安全顧問Sarah Armstrong-Smith表示，英國金融、安永和微軟最近發布的一份報告發現，改變網絡安全和更廣泛的職場中的非包容性語言可以大大支持多樣性。因此，微軟不再在技術論壇上使用或提及白名單/黑名單，而是使用允許和阻止列表來代替。

 4. 人工智能（AI）驅動的安全

在過去10年間，圍繞人工智能(AI)和機器學習技術改變網絡安全的話題一直十分火爆。盡管很難找到有安全領導者不承認自動化在現代信息安全領域中日益重要的地位，但大量安全供應商對最新AI或機器學習驅動的解決方案的營銷還是過于“理想主義”。

Gohenry公司CISO Guillaume Ehny認為，

“如今，無論采用何種解決方案，大多數安全供應商都會馬上強調他們的產品是智能的，并且集成了AI和機器學習來驅動決策過程。他們似乎堅信這就是我們想要聽到的，但實際上他們就好像是在毫不了解自家產品實際運作方式的情況下在玩賓果游戲。不幸的是，關于AI的行話也就這么一句。當被問及關于模型的更多信息時，答案永遠是‘它就是個引擎中的一個黑匣子，自行運作，我們啥都不用操心’。我知道AI/機器學習輔助的產品作為優勢值得一提，但這種表達方式真的沒什么好處。”

 5. 網絡9/11

2001年9月11日，激進的伊斯蘭組織基地組織對美國發動協同恐怖襲擊后，“網絡9/11”一詞首次出現。該詞指的是與恐怖相關的潛在網絡攻擊威脅，這些攻擊有可能造成重大且廣泛的影響，包括恐懼、暴力、傷害和死亡等。

除少數案例外，對此類事件的預測尚未實現，而且，對于Taylor來說，“網絡9/11”和涉及重大新聞事件的其他類似網絡安全詞匯都不應使用。這類詞不尊重現實生活中受到這些事件影響的人們。此外，這類詞匯經常帶有極強的夸張成分。值得慶幸的是，我們還沒有看到有哪起網絡安全事件具有與9/11事件或某些評論員喜歡提到的任何其他事件相同程度的影響。我們應盡早摒棄將網絡事件與導致重大生命損失的現實世界事件聯系起來的做法，這樣我們的行業才會受到更多重視。

 6. 數字化轉型

盡管數字化轉型是現代云驅動時代的流行語，但Exabeam安全工程副總裁Matt Rider認為，任何提及“數字化轉型”的言論，都只是在描述企業組織在過去50年里所做的事情。事實上，轉型并不是什么新鮮事。一切都在不斷發展，不斷變化。這個詞并不是突然之間就席卷整個行業的思想頓悟。

回顧上世紀初和工業革命時期，亨利·福特(Henry Ford)對裝配流水線生產進行了現代化改造。正是他對新興技術和變革型領導的理解，激發了一種新的工作方式。這是一次技術性的變革，具有巨大的影響力，改變了他們當時所了解的工作方式。所謂成功企業，擁有的無不是正確的文化，而不是正確的工具。是時候跳出數字化轉型的潮流了。

 7. 安全信息與事件管理（SIEM）

安全信息與事件管理(SIEM)定義了結合安全信息管理(SIM)與安全事件管理(SEM)的軟件產品和服務。作為首字母縮寫詞和產品供應的SIEM似乎被無數的網絡安全供應商夸大營銷了。

然而，Forrester研究所安全和風險分析師Allie Mellen表示，SIEM在合規方面歷史悠久，但卻無法比肩如今的地位。他表示，

“SIEM現在專注于威脅檢測和響應，結合安全用戶行為分析(SUBA)和安全編排、自動化與響應(SOAR)來處理事件響應生命周期的每個步驟。在Forrester，我們將SIEM稱之為安全分析平臺，以便更好地概括這類產品的功能：對數據執行安全分析，并作為平臺連接第三方產品進行事件響應。”

 8. 人是最薄弱的環節

CREST澳大利亞區總裁Nigel Phair表示，全球幾乎每次安全會議都會提到一個概念：將人視為安全鏈中最薄弱的環節，但這種提法需要緊急叫停。他解釋稱，

“人是信息安全和企業網絡及數據防護中最強大的力量。點名和怪罪到人的頭上沒用，也永遠不會有用。由于沒有解決網絡犯罪的技術萬靈丹，我們需要與員工并肩作戰，向他們解釋為什么需要采取某些控制措施，以及強調他們在企業網絡防護方面的重要作用。”

 9. 網絡安全意識

提高整個組織的網絡安全意識是許多首席信息安全官(CISO)的首要目標。但Votiro首席執行官Ravi Srinivasan認為，網絡安全意識的概念被濫用了。他認為，

“網絡安全意識這個詞營造了一種用戶應該對安全事件負責的說法，并鼓勵組織制定植根于教育和培訓的安全戰略，以檢測(并最終防止)網絡威脅。”

然而，如今的網絡攻擊非常復雜且不斷發展演變，即便是最具安全意識的企業也很難領先于網絡威脅。相反地，安全和IT領導者需要調整自身的企業安全戰略，以關注他們在全球運營的業務。Srinivasan建議稱，企業可以用提高‘網絡安全警惕性’來代替‘網絡安全意識’，并鼓勵公司加強員工與其雇主、企業和IT領導者、私營和公共部門實體之間的合作，共同努力挫敗網絡威脅。

 10. 網絡殺傷鏈

隨著數字領域與物理領域的聯系愈發緊密，與網絡相關的軍事風格詞匯勢力愈發強大，尤其是“網絡殺傷鏈”。

該詞描述了網絡攻擊的各個階段，且通常與高級持續性威脅(APT)相關聯。安永威脅情報高級經理Leanne Salibury表示，

“我不確定這是否完全合適，也不確定是否會導致我們采用更重磅的語言來使沉悶的話題變得更具吸引力。此外，我認為對于退伍軍人(尤其是真正親眼目睹過現場沖突并且有真實戰爭經驗的人)來說，在企業環境中要求他們與平民分享自身項目經驗的時候，這種用詞可能有點問題。”

 11. 黑客

Acronis網絡安全分析師Topher Tebow表示，需要認真考慮“黑客”一詞在當今環境中的使用方式，雖然未必需要徹底棄用，但不正確的用法必須予以根除。他認為，“黑客只是可以找到繞過給定項目、流程或軟件的正常應用程序以達到預期結果的人。”

Tebow補充道，這個詞的問題在于它經常被用來描述網絡犯罪分子，因為有成千上萬的黑客為了更大的利益而進行黑客攻擊。所以，我們需要考慮我們想表達的含義，并使用攻擊者、網絡犯罪分子和惡意行為者等術語，而不是將不良行為者統稱為黑客。

為網絡安全流行語辯護

雖然安全專家們一致認為，許多網絡安全流行詞和短語應該叫停或替換掉，但Byte高級網絡安全總監Ed Tucker卻認為，網絡安全流行語本身并沒有什么問題，許多問題實際上都源自這些流行語的使用方式。他解釋稱，

“我們面臨的最大問題之一不是流行語本身——它們只是商業化行業的一部分——而是懶惰的使用方式，以及缺乏對流行語的語境理解和實際應用。因此，業界需要更好地了解經常使用的流行語，并深入研究這些概念及其適用的場景、時機和方式。”